L’immenso archivio contenente i dati di 700 milioni di profili LinkedIn (più del 92% del totale di 756 milioni di utenti), messo in vendita lo scorso 22 giugno su RaidForums da un hacker che si fa chiamare “GOD User TomLiner”, non è il frutto di una violazione di dati.
Ma non per questo dobbiamo essere più tranquilli. Questa vicenda ci segnala come lo scraping di profili sia un problema in larga parte sottovalutato. Non solo di attacchi cyber muore la nostra privacy.
Lo ha confermato la stessa LinkedIn dicendo che i dati messi in vendita online sono stati “raschiati” (scraping, appunto) dai singoli profili utente del sito di network e da diversi altri siti internet utilizzando la tecnica del web scraping, così com’era già successo nel precedente data leak dello scorso aprile.
“I nostri team hanno indagato su una serie di presunti dati di LinkedIn che sono stati messi in vendita. Vogliamo essere chiari sul fatto che questa non è una violazione dei dati, e nessun dato privato dei membri di LinkedIn è stato esposto”, ha dichiarato la società in una sua nota ufficiali.
Web scraping, tutto sulla tecnica usata per rubare dati Facebook e LinkedIn
Dalle indagini condotte dagli esperti di sicurezza del noto social network risulta, inoltre, che i dati raschiati da LinkedIn e da vari altri siti web includono gli stessi dati già riportati nel precedente scraping di aprile scorso.
Anche questa volta, nell’archivio di dati messo in vendita sul Dark Web sono presenti dettagli personali degli utenti di LinkedIn, compresi i loro indirizzi fisici, i numeri di telefono, il sesso, ID ed e-mail di accesso e i dati di geolocalizzazione.
In realtà, fa notare Pierguido Iezzi, Swascan Cybersecurity Strategy Director e Co Founder, “si parla di un attacco scraping, ma la tipologia degli attributi dati oggetto del data leak, in alcuni casi il salario dell’utente, lo rendono poco probabile”.
Secondo lo stesso Iezzi, “l’attacco potrebbe essere stato effettuato sfruttando problematiche relative ad errate autorizzazioni sulle API legate direttamente o indirettamente al servizio Salary di LinkedIn. Un potenziale attaccante, in possesso di un token di autenticazione e autorizzazione anche non sufficientemente privilegiato, potrebbe essere riuscito ad accedere a informazioni relative ad altri utenti attraverso endpoint vulnerabili”.
Facebook, pubblici i dati di 36 milioni di italiani: come possiamo difenderci
Indice degli argomenti
Nuovo data leak su LinkedIn: cosa è successo
La smentita di LinkedIn in merito a una possibile violazione dati è arrivata dopo che molti siti avevano rilanciato la notizia pubblicata da Privacy Shark i cui ricercatori si erano imbattuti nel nuovo archivio di dati LinkedIn messi in vendita online.
Gli stessi ricercatori avevano quindi esaminato il campione contenente un milione di dati che l’hacker aveva reso disponibile sul suo post per consentire a tutti di verificare la veridicità del data leak. Non è chiaro, però, quale fosse l’origine dei dati e a quanto pare anche l’ipotesi che la fonte fosse lo scraping dei profili pubblici potrebbe non essere confermata.
La buona notizia è che nell’archivio di dati LinkedIn messi in vendita sul Dark Web non ci sono i numeri delle carte di credito degli utenti, il contenuto dei messaggi privati e altre informazioni sensibili. Questo, però, non vuol dire che non ci siano serie implicazioni per la sicurezza.
Come mettere in sicurezza il profilo LinkedIn
Secondo Pierguido Iezzi, infatti, “i dati dei file trapelati possono essere utilizzati dai criminal hacker contro gli utenti di LinkedIn interessati dal data leak in diversi modi:
- phishing e smishing mirati;
- spoofing;
- spear phishing e Business Email Compromise;
- spamming
- brute-forcing di password dei profili LinkedIn”.
Autenticazione a due fattori: quando attivarla e come protegge i nostri account
In poche parole, sfruttando l’enorme archivio di informazioni trapelate online, i criminal hacker potrebbero essere in grado di ottenere facilmente altri dati sensibili attraverso un semplice indirizzo e-mail, esponendo gli utenti LinkedIn a truffe online di ogni genere per indurli a condividere credenziali sensibili o a trasferire grandi quantità di denaro.
Senza dire che i dati potrebbero essere una miniera d’oro per future campagne di social engineering per prendere di mira utenti specifici o automatizzare gli attacchi utilizzando le informazioni personali delle vittime designate.
Il consiglio a tutti gli utenti per mettere in sicurezza il proprio account LinkedIn è dunque quello di aggiornare le password e abilitare l’autenticazione a due fattori per l’accesso al proprio profilo.
